Chrome udgivelse 91

Google har løftet sløret for udgivelsen af ​​webbrowseren Chrome 91. Samtidig er en stabil udgivelse af det gratis Chromium-projekt, der fungerer som grundlaget for Chrome, tilgængelig. Chrome-browseren er kendetegnet ved brugen af ​​Google-logoer, tilstedeværelsen af ​​et system til at sende meddelelser i tilfælde af et nedbrud, moduler til afspilning af beskyttet videoindhold (DRM), et system til automatisk installation af opdateringer og transmission af RLZ-parametre ved søgning. Den næste udgivelse af Chrome 92 er planlagt til den 20. juli.

Vigtigste ændringer i Chrome 91:

• Implementeret muligheden for at stoppe JavaScript-udførelse i en sammenklappet fanegruppe. Chrome 85 introducerede support til at organisere faner i grupper, der kan knyttes til en bestemt farve og etiket. Når du klikker på en gruppeetiket, skjules fanerne, der er knyttet til den, og en etiket forbliver i stedet (hvis du klikker på etiketten igen, åbnes gruppen). I den nye udgivelse er aktivitet i minimerede faner blevet suspenderet for at reducere CPU-belastningen og spare energi. En undtagelse er kun lavet for faner, der afspiller lyd, bruger Web Locks eller IndexedDB API, forbinder til en USB-enhed eller optager video, lyd eller vinduesindhold. Ændringen vil blive udrullet gradvist, begyndende med en lille procentdel af brugerne.
• Inkluderet understøttelse af en nøgleaftalemetode, der er modstandsdygtig over for brute force på kvantecomputere. Kvantecomputere er radikalt hurtigere til at løse problemet med at nedbryde et naturligt tal i primfaktorer, som ligger til grund for moderne asymmetriske krypteringsalgoritmer og ikke kan løses effektivt på klassiske processorer. Til brug i TLSv1.3 leveres CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) plugin, der kombinerer den klassiske X25519 nøgleudvekslingsmekanisme med HRSS-skemaet baseret på NTRU Prime-algoritmen, designet til post-kvantekryptosystemer.
• Understøttelse af TLS 1.0- og TLS 1.1-protokollerne, som er blevet forældede af IETF-udvalget (Internet Engineering Task Force), er blevet fuldstændig afbrudt. Inklusive muligheden for at returnere TLS 1.0/1.1 ved at ændre SSLVersionMin-politikken er blevet fjernet.
• Forsamlinger til Linux-platformen inkluderer brugen af ​​"DNS over HTTPS" (DoH, DNS over HTTPS), som tidligere blev bragt til brugere af Windows, macOS, ChromeOS og Android. DNS-over-HTTPS vil automatisk blive aktiveret for brugere, hvis indstillinger angiver DNS-udbydere, der understøtter denne teknologi (for DNS-over-HTTPS bruges den samme udbyder som for DNS). Hvis brugeren f.eks. har DNS 8.8.8.8 angivet i systemindstillingerne, aktiveres Googles DNS-over-HTTPS-tjeneste ("https://dns.google.com/dns-query") i Chrome, hvis DNS'en er 1.1.1.1 , så DNS-over-HTTPS-tjenesten Cloudflare ("https://cloudflare-dns.com/dns-query") osv.
• Port 10080, som bruges i Amanda backup og VMWare vCenter, er blevet tilføjet til listen over forbudte netværksporte. Tidligere var porte 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 og 6566 allerede blokeret. For porte på sortlisten er afsendelse af HTTP-, HTTPS- og FTP-anmodninger blokeret for at beskytte mod NAT-slipstream , som tillader, når den åbnes, en webside, der er specielt forberedt af hackeren i browseren, at etablere en netværksforbindelse fra angriberens server til enhver UDP- eller TCP-port på brugerens system, på trods af brugen af ​​det interne adresseområde (192.168.xx, 10) .xxx).
• Det er muligt at konfigurere den automatiske lancering af stand-alone webapplikationer (PWA - Progressive Web Apps), når brugeren logger på systemet (Windows og macOS). Autorun er konfigureret på chrome://apps-siden. Funktionaliteten bliver i øjeblikket testet på en lille procentdel af brugerne, og for resten kræver det aktivering af "chrome://flags/#enable-desktop-pwas-run-on-os-login" indstillingen.
• Som en del af arbejdet med at flytte browseren til at bruge inkluderende terminologi, er filen "master_preferences" blevet omdøbt til "initial_preferences". For at bevare kompatibiliteten vil understøttelse af "master_preferences" forblive i browseren i nogen tid. Tidligere var browseren allerede sluppet for brugen af ​​ordene "whitelist", "blacklist" og "native".
• Den forbedrede sikker browsing-tilstand, som aktiverer yderligere kontroller for at beskytte mod phishing, ondsindet aktivitet og andre trusler på nettet, inkluderer muligheden for at sende downloadede filer til scanning på Google-siden. Derudover implementerer Enhanced Safe Browsing regnskab for tokens, der er knyttet til en Google-konto, når de identificerer phishing-forsøg, samt sender Referrer-headerværdier til Google-servere for at tjekke for videresendelse fra et ondsindet websted.
• I udgaven til Android-platformen er designet af webformularelementer blevet forbedret, som er optimeret til brug på touchskærme og systemer til personer med handicap (for desktop-systemer er designet lavet om i Chrome 83). Formålet med omarbejdningen var at forene designet af formelementer og eliminere stilinkonsekvenser - tidligere var nogle formelementer designet i overensstemmelse med operativsystemets grænsefladeelementer, og nogle i overensstemmelse med de mest populære stilarter. På grund af dette var forskellige elementer egnet forskelligt til berøringsskærme og systemer til mennesker med handicap.
• Tilføjet en meningsmåling, der vises, når du åbner indstillingerne for Privacy Sandbox (chrome://settings/privacySandbox).
• Når du kører Android-versionen af ​​Chrome på tablet-pc'er med store skærme, anmodes der om desktopversionen af ​​webstedet og ikke udgaven til mobile enheder. Du kan ændre adfærden ved at bruge indstillingen "chrome://flags/#request-desktop-site-for-tablets".
• Koden til gengivelse af tabeller er blevet omarbejdet, hvilket gjorde det muligt for os at løse problemer med inkonsistens i adfærd ved visning af tabeller i Chrome og i Firefox/Safari.
• Behandlingen af ​​servercertifikater fra den spanske certificeringsmyndighed Camerfirma er blevet stoppet på grund af tilbagevendende hændelser siden 2017 med krænkelser i udstedelsen af ​​certifikater. Understøttelse af klientcertifikater bibeholdes; blokering gælder kun for certifikater, der bruges på HTTPS-websteder.
• Vi fortsætter med at implementere understøttelse af netværkssegmentering for at beskytte mod metoder til sporing af brugerbevægelser mellem websteder baseret på lagring af identifikatorer i områder, der ikke er beregnet til permanent lagring af information ("Supercookies"). Fordi cachelagrede ressourcer er gemt i et fælles navneområde, uanset det oprindelige domæne, kan et websted bestemme, at et andet websted indlæser ressourcer ved at kontrollere, om den ressource er i cachen. Beskyttelsen er baseret på brugen af ​​netværkssegmentering (netværkspartitionering), hvis essens er at tilføje til delte caches yderligere binding af poster til det domæne, hvorfra hovedsiden åbnes, hvilket begrænser cache-dækningen kun for bevægelsessporingsscripts til det aktuelle websted (et script fra en iframe vil ikke være i stand til at kontrollere, om ressourcen blev downloadet fra et andet websted).

  Prisen på segmentering er et fald i caching-effektiviteten, hvilket fører til en lille stigning i sideindlæsningstid (maksimalt med 1.32 %, men for 80 % af webstederne med 0.09-0.75 %). For at teste segmenteringstilstanden kan du køre browseren med valgmuligheden "—enable-features=PartitionConnectionsByNetworkIsolationKey, PartitionExpectCTStateByNetworkIsolationKey, PartitionHttpServerPropertiesByNetworkIsolationKey, PartitionNelAndReportingByNetworkIsolationKey,B PartitionSSLSKey,BKsolationSSI yNetworkIsolationKey".

• Tilføjet ekstern REST API VersionHistory (https://versionhistory.googleapis.com/v1/chrome), hvorigennem du kan få information om Chrome-versioner i forhold til platforme og filialer, samt browseropdateringshistorik.
• I iframes indlæst fra andre domæner end domænet på basissiden, er visning af JavaScript-dialoger alert(), confirm() og prompt() forbudt, hvilket vil beskytte brugere mod forsøg fra et tredjepartsscript på at vise meddelelser under forklædning, at meddelelsen blev vist af hovedsiden.
• WebAssembly SIMD API er blevet stabiliseret og tilbydes som standard til brug af vektor SIMD-instruktioner i WebAssembly-formaterede applikationer. For at sikre platformuafhængighed tilbyder den en ny 128-bit type, der kan repræsentere forskellige typer pakkede data, og flere grundlæggende vektoroperationer til behandling af pakkede data. SIMD giver dig mulighed for at øge produktiviteten ved at parallelisere databehandling og vil være nyttig, når du kompilerer indbygget kode i WebAssembly.
• Adskillige nye API'er er blevet tilføjet til tilstanden Origin Trials (eksperimentelle funktioner, der kræver separat aktivering). Origin Trial indebærer evnen til at arbejde med den specificerede API fra applikationer downloadet fra localhost eller 127.0.0.1, eller efter registrering og modtagelse af et særligt token, der er gyldigt i en begrænset periode for et specifikt websted.
  • WebTransport er en protokol og tilhørende JavaScript API til afsendelse og modtagelse af data mellem browseren og serveren. Kommunikationskanalen er organiseret oven på HTTP/3 ved hjælp af QUIC-protokollen som en transport, som igen er en tilføjelse til UDP-protokollen, der understøtter multipleksing af flere forbindelser og giver krypteringsmetoder svarende til TLS/SSL.

    WebTransport kan bruges i stedet for WebSockets og RTCDataChannel-mekanismer, der tilbyder yderligere funktioner såsom multi-stream transmission, ensrettede streams, levering uden for ordre, pålidelige og upålidelige leveringstilstande. Derudover kan WebTransport bruges i stedet for Server Push-mekanismen, som Google har opgivet i Chrome.

  • En deklarativ grænseflade til at definere links til selvstændige webapplikationer (PWA'er), aktiveret ved hjælp af capture_links-parameteren i webapplikationsmanifestet og tillader websteder automatisk at åbne et nyt PWA-vindue, når der klikkes på et applikationslink, eller skifte til enkeltvindustilstand, ligner mobilapplikationer.
  • Tilføjet WebXR Plane Detection API, som giver information om plane overflader i et virtuelt 3D-miljø. Den specificerede API gør det muligt at undgå ressourcekrævende behandling af data opnået gennem kaldet MediaDevices.getUserMedia(), ved hjælp af proprietære implementeringer af computervisionsalgoritmer. Lad os minde dig om, at WebXR API giver dig mulighed for at forene arbejde med forskellige klasser af virtual reality-enheder, fra stationære 3D-hjelme til løsninger baseret på mobile enheder.
• Understøttelse af arbejde med WebSockets over HTTP/2 (RFC 8441) er implementeret, hvilket kun er gyldigt for sikre anmodninger til WebSockets og i nærværelse af en allerede etableret HTTP/2-forbindelse med serveren, som annoncerede understøttelse af "WebSockets over HTTP/2" udvidelse.
• Grænser for præcisionen af ​​timerværdier produceret af et kald til performance.now() er konsistente på tværs af alle understøttede platforme og rummer potentialet for at isolere behandlere i separate processer. For eksempel på desktop-systemer er nøjagtigheden ved behandling i ikke-isolerede sammenhænge blevet reduceret fra 5 til 100 mikrosekunder.
• Desktop builds inkluderer nu muligheden for at læse filer fra udklipsholderen (at skrive filer til udklipsholderen er stadig forbudt). asynkron funktion onPaste(e) { let file = e.clipboardData.files[0]; lad indhold = await file.text(); }
• CSS implementerer @counter-style reglen, som giver dig mulighed for at definere din egen stil for tællere og etiketter i nummererede lister.
• CSS-pseudoklasserne ":host()" og ":host-context()" har tilføjet muligheden for at videregive enkeltværdier af sammensatte vælgere ( ) ud over vælgerlister ( ).
• Tilføjet GravitySensor-grænseflade til bestemmelse af volumetriske (tre koordinatakser) data fra gravitationssensoren.
• File System Access API giver mulighed for at definere anbefalinger til valg af et filnavn og en mappe, der tilbydes i dialogen til oprettelse eller åbning af en fil.
• Iframes indlæst fra andre domæner får adgang til WebOTP API, hvis brugeren giver de relevante tilladelser. WebOTP giver dig mulighed for at læse engangsbekræftelseskoder sendt via SMS.
• Tilladt at dele adgang til legitimationsoplysninger for websteder, der er linket ved hjælp af DAL-mekanismen (Digital Asset Links), som tillader Android-applikationer at blive knyttet til websteder for at forenkle login.
• Servicemedarbejdere tillader brug af JavaScript-moduler. Når du angiver 'modul'-typen, når du kalder konstruktøren, vil de angivne scripts blive indlæst i form af moduler og tilgængelige for import i arbejderkonteksten. Modulunderstøttelse gør det nemt at dele kode på tværs af websider og servicemedarbejdere.
• JavaScript giver mulighed for at kontrollere, om der findes private felter i et objekt ved hjælp af "#foo in obj"-syntaksen. klasse A { statisk test(obj) { console.log(#foo i obj); } #foo = 0; } A.test(ny A()); // sand A.test({}); // falsk
• JavaScript tillader som standard brugen af ​​await nøgleordet i moduler på øverste niveau, hvilket gør det muligt at integrere asynkrone opkald mere smidigt i modulets indlæsningsprocessen og undgår at pakke dem ind i en "asynkron funktion". For eksempel i stedet for (async function() { await Promise.resolve(console.log('test')); }()); nu kan du skrive await Promise.resolve(console.log('test'));
• V8 JavaScript-motoren har forbedret effektiviteten af ​​skabelon-caching, hvilket har øget hastigheden for at bestå Speedometer4.5-FlightJS-testen med 2 %.
• En stor del af forbedringerne er foretaget af værktøjer til webudviklere. En ny Memory Inspector-tilstand er blevet tilføjet, som giver værktøjer til at undersøge ArrayBuffer-data og Wasm-hukommelse.

  En opsummerende præstationsindikator er blevet tilføjet til præstationspanelet, så du kan bedømme, om et websted kræver optimering eller ej.

  

  Billedeksempler i panelet Elementer og panelet Netværksanalyse giver oplysninger om billedets billedformat, gengivelsesindstillinger og filstørrelse.

  

  I netværksinspektionspanelet er det nu muligt at ændre de accepterede værdier af Content-Encoding-headeren.

  

  I stilpanelet kan du nu hurtigt se den beregnede værdi, når du navigerer gennem CSS-parametrene ved at vælge "Se beregnet værdi" i kontekstmenuen.

  

Ud over innovationer og fejlrettelser eliminerer den nye version 32 sårbarheder. Mange af sårbarhederne blev identificeret som et resultat af automatiseret test ved hjælp af AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL værktøjerne. Der er ikke identificeret nogen kritiske problemer, der ville tillade en at omgå alle niveauer af browserbeskyttelse og eksekvere kode på systemet uden for sandkassemiljøet. Som en del af programmet til at betale kontante belønninger for at opdage sårbarheder for den aktuelle udgivelse, udbetalte Google 21 priser til en værdi af $92000 (en pris på $20000, en pris på $15000, fire priser på $7500, tre priser på $5000, tre priser på $3000, to priser på $1000 og to $500). Størrelsen af ​​de 5 belønninger er endnu ikke fastlagt.

Kilde: opennet.ru